Blog

Abitti-verkkopalveluun tehty päivitys tuo kokelaan koenäkymään kaksi uutta ominaisuutta helpottamaan kokeen suorittamista:

• Kokeen tehtäväsivun vasemmassa reunassa näytetään kokeen sisällysluettelo, joka helpottaa liikkumista kokeessa. Sisällysluettelossa näytetään myös, mihin tehtäviin kokelas on vastannut ja varoitetaan, jos jonkin vastauksen pituus ylittää tehtävälle mahdollisesti asetetun enimmäispituuden. Sisällysluettelonäkymä mukautuu käytössä olevan ruudun koon mukaan. Sisällysluettelo-ominaisuutta ei näytetä näkövammaisten apuvälineillä suoritettavassa kokeessa, koska sen toiminnallisuudet ovat päällekkäisiä apuvälineiden toiminnallisuuksien kanssa.
  
  Kuva: Ruutukaappaus mallikokeesta, jossa näkee sisällysluettelo-ominaisuuden
• Kokelaalla on nyt myös halutessaan mahdollisuus avata vastauslaatikko koko ruudun tilaan klikkaamalla vastauslaatikon ylänurkassa olevaa ikonia. Koko ruudun tilassa on käytössä samat vastauslaatikon työkalut kuin muulloinkin. Työstettävänä oleva vastaus myös tallentuu jatkuvasti palvelimelle ilman, että kokelaan tarvitsee itse muistaa tallentaa työnsä. Kokoruututilassa näytetään kyseessä oleva tehtävänanto. Kokoruututilasta voi poistua klikkaamalla ylänurkassa olevaa ikonia uudestaan.
  
  Kuva: Siirtyminen kokoruututilaan
  
  Kuva: Siirtyminen pois kokoruututilasta

Ominaisuudet tulevat käyttöön Abitissa niissä harjoituskokeissa, jotka ladataan laadintapalvelusta uuden version julkaisun jälkeen. Uudet ominaisuudet ovat käytössä myös syksyn ylioppilastutkinnossa. Kokeen suorittaminen itsessään ei muutu, ja kokeen voi edelleen suorittaa ilman, että hyödyntää nyt julkaistuja ominaisuuksia.

Tänään julkaistut Abitti-versiot (ABITTI2332G ja SERVER2332I) vastaavat syksyn ylioppilastutkinnossa käytössä olevia versioita. Uusi käynnistysvaihtoehto (Nihonium) parantaa joidenkin koneiden toimintaa langattomassa koeverkossa. Muitakin pieniä teknisiä parannuksia on tehty.

Nyt julkaistava versio on yhteensopiva lokakuussa 2022 ja sen jälkeen julkaistujen Abitti-versioiden kanssa.

Tänään julkaistut uudet Abitti-versiot sisältävät joitakin pieniä päivityksiä. Otavan MAOL digitaulukot on päivittynyt ja koeympäristön ohjeiden saavutettavuutta on parannettu.

Tekniikkapuolella on päivitetty muutaman laitteen firmware-tiedostoja. Päivitykset parantavat joidenkin wifi- ja äänipiirien toimintaa.

Kokelaan tikkuun on tehty myös kaksi tietoturvapäivitystä.

• LibreOfficessa oli saatavilla englannin kielen oikoluku. Tämä on nyt estetty. Kiitokset Santtu Savolalle, joka löysi tämän ominaisuuden.
• Kokelaan koneelta voidaan katsella koneen havaitsemia wifi-verkkojen nimiä. Näitä nimiä voidaan käyttää tietojen välittämiseen kokelaalle. Tämä hyökkäystavan hyödyntämismahdollisuus ylioppilaskokeissa lisääntyy jatkuvasti lukioiden siirtyessä käyttämään langattomia tutkintoverkkoja. Uusi Abitti-versio piilottaa käyttäjältä kaikki verkkojen nimet, jotka ovat yli 20 merkin mittaisia. Ylioppilaskokeita varten filtteriä tiukennetaan. Kiitokset Miika K:lle, joka ilmoitti tästä mahdollisuudesta ja kuvasi useita hyväksikäyttömenetelmiä.

Nyt julkaistut versiot toimivat lokakuussa 2022 ja sen jälkeen julkaistujen Abitti-versioiden kanssa.

Tänään julkaistavat Abitti-versiot (ABITTI2307P ja SERVER2307S) sopivat kevään ylioppilaskokeen järjestelyjen testaukseen.

Kokelaan koneeseen on tehty seuraavat korjaukset:

• Kokelaan tikulta on korjattu GeoGebra 5:n 3D-näyttö ja MarvinSketchin MarvinSpace, jonka avulla rakennemalleja voi tarkastella kolmiulotteisina.
• Versiossa ABITTI2302L kokelaan koneen äänet lakkasivat toimimasta aina kun käyttöliittymän kieli vaihdettiin ruotsiksi. Tämä virhe on korjattu.
• Joissakin harjoituskokeissa on tavattu äänitiedostoja, joissa onkin ollut mukana videosisältöä. Tällaiset tiedostot eivät aiemmin ole toimineet kuuntelukerroiltaan rajoitettuina äänitteinä. Nyt äänitteistä soitetaan pelkkä ääniraita ja mahdollinen videosisältö jätetään huomiotta.

Kokelaan koneen koetilan palvelimelle lähetettävät lokitiedot salataan, mikä vaikeuttaa tietoliikenteen salakuuntelua. Tästä huolimatta nyt julkaistut versiot toimivat lokakuussa 2022 ja sen jälkeen julkaistujen Abitti-versioiden kanssa.

Lue lisää:

• Muutosloki

Tänään julkaistava versio on viimeinen ennen kevään ylioppilaskokeita julkaistava Abitti. Se sisältää vain yhden kokelaalle näkyvän muutoksen: PDF-muotoisen kokeen liitetiedoston avaamisen yhteydessä liite on helppo avata myös muilla ohjelmilla kuin selaimella (esim. Okularilla).

Julkaistavassa Abitissa on korjattu kolme tietoturvahaavoittuvuutta, joista vakavin mahdollisti kokeeseen kirjautumisen väärällä henkilötunnuksella.

Uusi versio on yhteensopiva vuoden 2022 viikolla 43 ja sen jälkeen julkaistujen Abitti-versioiden kanssa:

• ABITTI 2243K, 2244B, 22451
• SERVER 22436, 2244T

Haavoittuvuudet löytyivät hakkeritapahtumassa

Tietoturva-aukot löydettiin LähiTapiolan valkohattuhakkereille 15.10.2022 järjestämässä HackDay-kilpailussa. Ylioppilastutkintolautakunta on käsitellyt löydökset normaalin politiikkansa mukaisesti siten, että ne julkistetaan kolmen kuukauden kuluessa ilmoituksesta. Hakkerointitapahtuman luottamuksellisesta luonteesta johtuen Ylioppilastutkintolautakunnalla ei ole tiedossaan kaikkien haavoittuvuuksia löytäneiden tiimien ja tiimin jäsenten nimiä.

Ylioppilastutkintolautakunta kiittää LähiTapiolaa ja kaikkia haavoittuvuuksista raportoineita.

Alla tiiviit kuvaukset nyt korjatuista haavoittuvuuksista.

1. Kirjautuminen kokeeseen väärällä henkilötunnuksella oli mahdollista

Abittiin kirjautumisessa käytetään kokelaan henkilötunnusta, jonka valvoja tarkistaa ja antaa kokelaalle kirjautumisnäkymään syötettävän vahvistuskoodin. Hyökkäyksessä kirjaudutaan koejärjestelmään syöttämällä henkilötunnus- ja vahvistuskoodikombinaatioita koneellisesti, kunnes oikea yhdistelmä löytyy (brute force). Näin päästään suorittamaan koetta väärällä identiteetillä.

Haavoittuvuusluokitus: CVSS-pisteet 8,3 (korkea)

2. Valvojan koneen ja koetilan palvelimen välinen istuntotunniste oli kovakoodattu

Kokeen järjestäjä voi käynnistää koeverkkoon kokeen valvojille tietokoneita, joista he voivat seurata koejärjestelmän tuottamaa tilannekuvaa. Valvojan koneen ja koetilan palvelimen välisessä viestinnässä on käytetty kovakoodattua istuntotunnistetta. Tunniste ei sellaisenaan avaa pääsyä koetilan palvelimelle, koska valvojan koneet auktorisoidaan palvelimen arpomalla salasanalla.

Haavoittuvuusluokitus: CVSS-pisteet 5,0 (keskitaso)

3. Kokelas pystyi tallentamaan kuuntelukerroiltaan rajoitetun äänitteen

Haavoittuvuudessa vilpillinen kokelas hyödyntää Abitissa käytettyä PulseAudio-ääniohjelmiston monitor-äänilähtöä. Hyödyntämällä Abitissa olevia ohjelmistoja kokelas tallentaa monitor-lähdöstä tulevan signaalin tiedostoon. Tämän jälkeen äänite on kokelaan vapaasti kuunneltavissa.

Haavoittuvuusluokitus: CVSS-pisteet 3,3 (matala)

Kiitämme Testausserverin tiimiä: Ruben Mkrtumyan, Mikael Hannolainen, Santtu Sievänen, Veeti Ojanperä ja Taavi Väänänen